MADRID 2 set. (Portaltic/EP) -
Uma das redes de “bots” mais antigas da Internet e uma das ameaças mais persistentes foi desmantelada após mais de duas décadas na rede, por meio de uma operação que fez com que a própria arquitetura que, durante todo esse tempo, foi sua principal fortaleza, se voltasse contra ela.
A Sality é uma rede de “bots” “peer-to-peer” que, desde 2003, tem proporcionado a capacidade de distribuir cargas maliciosas a mais de 15.000 computadores infectados em todo o mundo, o que a levou a participar de campanhas que abrangem desde o roubo de credenciais, a distribuição de spam, serviços de proxy, a exploração de redes e ataques DDoS.
Essa rede não possuía uma infraestrutura tradicional de comando e controle; em vez disso, os computadores infectados se comunicavam diretamente entre si para receber instruções ou cargas maliciosas, operando sob uma abordagem descentralizada que dificultou os esforços para desmantelá-la.
No entanto, foi justamente essa arquitetura que finalmente permitiu desmantelar uma das ameaças mais persistentes, por meio de uma operação de interrupção que isolou todos os nós da rede, impedindo que fossem controlados, conforme informou a empresa de segurança cibernética CrowdStrike em um comunicado.
Para isso, recorreu-se à manipulação de listas de pares, aproveitando o fato de que qualquer máquina disponível pode se conectar à rede sem autenticação, desde que responda corretamente ao protocolo de ligação P2P.
A lista de pares significa que cada computador infectado (“bot”) mantém em sua memória uma lista finita de endereços IP de outros “bots” diretamente acessíveis na Internet, que ele verifica periodicamente para saber quais superpares ainda estão online e solicitar atualizações de rede.
O que os pesquisadores fizeram foi modificar ou falsificar as respostas de verificação para marcar os superpares legítimos do atacante como “inválidos” ou “fora de linha”, o que obrigou o “bot” a eliminar progressivamente seus pares reais de sua lista interna.
E, à medida que a lista foi esvaziando, foram inseridas entradas controladas pelos pesquisadores, conhecidas como “sinkholes” ou “sumidouros”, que os “bots” salvaram acreditando que eram novos superpares legítimos. Os “sinkholes” respondem às solicitações do “bot”, mantendo-o conectado a um canal seguro, porém inerte, sem enviar nenhum comando do invasor.
Essa operação foi apresentada na conferência Day Zero Threat Research, da qual participaram a empresa de segurança CrowdStrike, o Departamento de Justiça dos Estados Unidos, o FBI, o Serviço de Investigação Criminal da Defesa e a Fundação Shadowserver, com o apoio da Europol e das forças de segurança da França, Bulgária e Romênia.
Esta notícia foi traduzida por um tradutor automático